IT-Sicherheitsmanagement nach der neuen ISO 27001: ISMS, Risiken, Kennziffern, Controls (Edition <kes>) (German Edition)

Dieses Buch behandelt das Management der Informationssicherheit auf der Basis der Norm ISO/IEC 27001. Mit der 2. Auflage wurden die Inhalte des Fachbuches umfassend aktualisiert und den Neuerungen der Norm angepasst. Die Autoren erläutern kompetent den Standard und seine organisatorisch-technische Umsetzung. Dies betrifft die Anforderungen an das Informationssicherheits-Managementsystem (ISMS) genauso wie die 114 Controls aus dem Anhang der Norm. Die ausführlich kommentierten Controls unterstützen Sicherheitsverantwortliche bei der Auswahl geeigneter Sicherheitsmaßnahmen in allen Bereichen. Die Normenreihe ISO 27000 ist ein wichtiges Hilfsmittel für Unternehmen und Behörden, die ein IT-Sicherheitsmanagement in ihrer Organisation einführen und betreiben wollen. Im internationalen Kontext ist die Anwendung der ISO 27001 für viele Organisationen nahezu unverzichtbar. Nicht zuletzt mit dem deutschen IT-Sicherheitsgesetz erhält dieser Standard auch national eine hohe Bedeutung. Seit der Neufassung der Norm im Jahr 2015 (deutsche Version) und Änderungen in 2017 müssen sich alle Organisationen entsprechend umstellen und ihr ISMS anpassen. Hierfür enthält das Buch entsprechende „Fahrpläne“. Vorwort 6 Inhaltsverzeichnis 9 Verwendete Abkürzungen 12 1: Einführung 14 1.1 Historie und Informationen 14 1.2 Die Normenreihe 16 1.3 Das ISMS 18 1.4 Der Anhang A 25 1.5 ISMS und Auslagerung 27 1.6 Checkliste 28 Zusammenfassung 29 Literatur 29 2: Die Anforderungen an ein ISMS 30 2.1 Kontext der Organisation (NK 4) 30 2.2 Führung (NK 5) 33 2.3 Planung (NK 6) 35 2.4 Unterstützung (NK 7) 40 2.5 Betrieb (NK 8) 44 2.6 Bewertung der Leistung (NK 9) 45 2.7 Verbesserung (NK 10) 49 2.8 Checkliste 50 Fazit 50 Literatur 51 3: Risikomanagement 52 3.1 Risikomanagement als Aufgabe 52 3.2 Verfahren der Risikobeurteilung 60 3.2.1 IT-Grundschutz und Erweiterung 61 3.2.2 Ein Beispiel aus ISO 27005 64 3.2.3 Die Scorecard-Methode 65 3.2.4 Angriffspotenzial nach ISO 15408 73 Zusammenfassung 75 Literatur 75 4: Sicherheit messen 76 4.1 Ziele 76 4.2 Überwachen und Messen 77 4.3 Messungen bewerten 86 Zusammenfassung 87 Literatur 87 5: Interne und externe Audits 88 5.1 Ziele und Nutzen 89 5.2 Die Rahmenbedingungen 93 5.3 Vorbereiten eines Audits 103 5.4 Durchführung eines Audits 106 5.5 Typische Defizite 109 5.6 Auditbericht und Auswertung 113 Literatur 114 6: Die Controls im Anhang A 115 6.1 Überblick 115 6.2 Die einzelnen Controls ... 117 6.2.1 Informationssicherheitsrichtlinien (A.5) 117 Fazit zu A.5 120 6.2.2 Organisation der Informationssicherheit (A.6) 120 6.2.3 Personalsicherheit (A.7) 127 6.2.4 Verwaltung der Werte (A.8) 132 Fazit zu A8.1 134 6.2.5 Zugangssteuerung (A.9) 140 6.2.6 Kryptografie (A.10) 153 Fazit zu A.10 156 6.2.7 Physische und umgebungsbezogene Sicherheit (A.11) 156 6.2.8 Betriebssicherheit (A.12) 168 6.2.9 Kommunikationssicherheit (A.13) 181 6.2.10 Anschaffung, Entwicklung und Instandhalten von Systemen (A.14) 189 Fazit zu A.14 202 6.2.11 Lieferantenbeziehungen (A.15) 203 6.2.12 Handhabung von Informationssicherheitsvorfällen (A.16) 208 6.2.13 Informationssicherheitsaspekte beim Business Continuity Management (A.17) 213 6.2.14 Compliance (A.18) 220 Fazit zu Anhang A 228 Literatur 228 7: ISMS und mobile Infrastrukturen 229 7.1 Übersicht 229 7.2 Mobile Infrastrukturen in Unternehmen 230 7.3 ISMS und Mobile Device Management 231 7.4 Sicherheitsleitlinie 233 7.5 Sicherheitsrichtlinie 234 7.6 BCM und Notfallmanagement 240 Literatur 241 8: Umsteigen von älteren Normfassungen auf die aktuelle Norm 242 8.1 Von 2008 nach 2015 242 8.1.1 Vorüberlegungen 242 8.1.2 Hauptteil der ISO 27001 245 8.1.3 Anhang A der Norm 248 8.1.4 Weitere Dokumente und Pläne 250 8.1.5 Checkliste 251 Fazit 251 8.2 Von 2015 nach 2017 252 8.3 Neue Entwicklungen 253 Literatur 253 9: Interne Kontrollsysteme 255 9.1 Problemstellung 255 9.2 Beispiele 260 9.3 Handlungsempfehlung 262 Fazit 263 Literatur 263 10: ISMS: Auswirkungen aktueller gesetzlicher Vorgaben 265 10.1 Das IT-Sicherheitsgesetz 265 Fazit 268 10.2 Die Datenschutz-Grundverordnung 269 10.2.1 Einbeziehung des Datenschutzes in ein ISMS 269 10.2.2 Datenschutz-Folgenabschätzung 272 Literatur 272 Fachbegriffe englisch/deutsch 274 Stichwortverzeichnis 276 Front Matter ....Pages I-XIV Einführung (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 1-16 Die Anforderungen an ein ISMS (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 17-38 Risikomanagement (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 39-62 Sicherheit messen (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 63-74 Interne und externe Audits (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 75-101 Die Controls im Anhang A (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 103-216 ISMS und mobile Infrastrukturen (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 217-229 Umsteigen von älteren Normfassungen auf die aktuelle Norm (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 231-243 Interne Kontrollsysteme (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 245-254 ISMS: Auswirkungen aktueller gesetzlicher Vorgaben (Heinrich Kersten, Gerhard Klett, Jürgen Reuter, Klaus-Werner Schröder)....Pages 255-263 Back Matter ....Pages 265-273 Dieses Buch behandelt das Management der Informationssicherheit auf der Basis der neuen Fassung der Norm ISO/IEC 27001. Die Autoren erlutern kompetent den Standard und seine organisatorisch-technische Umsetzung. Dies betrifft die Anforderungen an das Informationssicherheits-Managementsystem (ISMS) genauso wie die 114 Controls aus dem Anhang der Norm. Die ausfhrlich kommentierten Controls untersttzen Sicherheitsverantwortliche bei der Auswahl geeigneter Sicherheitsmanahmen in allen Bereichen.Die Normenreihe ISO 27000 ist ein wichtiges Hilfsmittel fr Unternehmen und Behrden, die ein IT-Sicherheitsmanagement in ihrer Organisation einfhren und betreiben wollen. Im internationalen Kontext ist die Anwendung der ISO 27001 fr viele Organisationen nahezu unverzichtbar. Nicht zuletzt mit dem deutschen IT-Sicherheitsgesetz erhlt dieser Standard auch national eine hohe Bedeutung. Mit der Neufassung der Norm im Jahr 2015 (deutsche Version) mssen sich alle Organisationen entsprechend umstellen und ihr ISMS anpassen. Hierfr enthlt das Buch einen entsprechenden Fahrplan.